Intruz. w sieci Wi-Fi PRZEDRUK. Bezprzewodowe systemy detekcji i prewencji antywłamaniowej. dla ekspertów branży it.

Transkrypt

1 SIECI CENTRUM DANYCH KOMUNIKACJA dla ekspertów branży it TESTY I PORÓWNANIA BEZPIECZEŃSTWO ROZWIĄZANIA DLA MSP PRZEDRUK Grudzień 2013 (12/207) Intruz w sieci Wi-Fi INDEKS Cena 26,90 zł (w tym 5% VAT) Bezprzewodowe systemy detekcji i prewencji antywłamaniowej Test: Barracuda Load Balancer ADC ISSN NADCHODZI G.FAST BACKUP W CHMURZE Sposób na większą przepustowość połączeń miedzianych Alternatywa dla klasycznych systemów zapisu na taśmach / dyskach NAS

2 Barracuda Load Balancer ADC wszechstronne zabezpieczenie działania aplikacji Jak zapewnić ciągłość działania usługi w przypadku awarii tak, aby nie została ona zauważona lub co zrobić, jeśli pojedynczy serwer przestaje już wystarczać? Stworzyć konfigurację, w której daną funkcjonalność obsługuje kilka serwerów, a ruch sieciowy między nimi jest rozdzielany za pomocą odpowiednich algorytmów. Służą do tego tzw. load balancery urządzenia doskonale sprawdzające się w środowiskach zaprojektowanych do ochrony ciągłości działania systemów IT. Przetestowaliśmy jedno z takich urządzeń ADC. Jarosław Kowalski ADC oprócz podstawowej funkcjonalności dystrybucji ruchu sieciowego pomiędzy serwerami zapewnia odporność na awarie pojedynczych serwerów oraz równoważy obciążenie adresów IP. Przy zarządzaniu ruchem sieciowym pomiędzy serwerami ADC posiada szereg funkcji wspomagających pracę usług online, wśród których na szczególną uwagę zasługuje wbudowany moduł zintegrowanej ochrony przed włamaniami i wyciekiem danych, przeznaczony dla obsługiwanych aplikacji i serwerów. Firma Barracuda Networks oferuje kilka wersji urządzeń linii Load Balancer, które różnią się między sobą nie tylko wydajnością, ale również funkcjonalnością. Najniższy model, oznaczony numerem 240, przeznaczony jest raczej dla małych środowisk produkcyjnych z maksymalnie 10 serwerami podłączonymi do Load Balancera. Przepustowość 100 Mb/s, dwa porty Ethernet 100 Mb/s oraz ograniczenie dostępnych opcji sprawiają, że doskonale sprawdzi się on w infrastrukturze o niewielkich wymaganiach funkcjonalnych. Oprócz modeli sprzętowych w ofercie znajdują się również dwie wersje wirtualne 340Vx i 440Vx, które różnią się od siebie liczbą obsługiwanych rdzeni procesora, brakiem obsługi kompresji i cache owania HTTP oraz brakiem globalnego load balancingu w niższym z modeli. Urządzenia serii Load Balancer ADC przeznaczone są głównie dla stron internetowych obsługujących duży ruch sieciowy oraz aplikacji serwerowych wykorzystywanych wewnątrz korporacji (np. usługi terminalowe). Bardzo dobrze nadają się do usług dostarczających treści, włączając w to Web, FTP, media streaming, a także do usług wymagających optymalnej wydajności (SMTP, DNS, RADIUS, TFTP). Do naszej redakcji trafiło urządzenie ADC 640. Jest to jeden z najbardziej zaawansowanych funkcjonalnie modeli. Zarówno model 640, jak i 840 w odróżnieniu od niższych wersji zostały dodatkowo wyposażone w moduł Security zapewniający kompleksową ochronę obsługiwanych aplikacji. Urządzenie dostarczane jest w pełnowymiarowej obudowie 1U i standardowo wyposażone jest w 8 portów w standardzie 1 GbE umieszczonych od frontu oraz port do zarządzania znajdujący się na tylnym panelu. Opcjonalnie do modelu 640 można dołożyć dodatkowe 8 gniazd Gigabit Ethernet (w modelu 840 dodatkowo 24) oraz dwa porty 10GbE i dwa światłowodowe 10 Gb. 640 posiada pojedynczy zasilacz i na tę chwilę nie przewidziano w tym modelu redundancji zasilania. Taką opcję posiada natomiast model Networld

3 KONFIGURACJA I ZARZĄDZANIE Po zapoznaniu się z dokumentacją techniczną i możliwościami konfiguracyjnymi okazało się, że przed instalacją urządzenia należy przemyśleć i wybrać sposób wdrożenia, mając na uwadze bieżącą konfigurację sieci i ewentualne możliwości jej zmiany (np. adresacji IP serwerów). Istnieją trzy różne metody instalacji urządzenia Barracuda Load Balancer ADC. Pierwsza z nich, konfiguracja Route- -Path zapewnia największą elastyczność. Składa się ona z dwóch wariantów: One-ar- -med, w którym do sieci podłączony jest port WAN urządzenia z bieżącą adresacją IP infrastruktury. Tworzy się jedynie wirtualne adresy IP (VIP) grupujące rzeczywiste adresy serwerów fizycznych. Konfiguracja ta nie wymaga żadnej zmiany adresacji IP w elementach biorących udział w procesie równoważenia obciążenia. Drugi wariant Two- -armed polega na podłączeniu portu WAN do bieżącej infrastruktury z istniejącą adresacją, natomiast port LAN wpina się do odseparowanej sieci logicznej ze zmienioną adresacją IP, gdzie znajdują się serwery przeznaczone do load balancingu. Konfiguracja ta ADC 640 nie jest wskazana w przypadku, gdy nie ma możliwości zmiany adresów IP serwerów. Kolejna metoda wdrożenia Bridge-Path, polega na umieszczeniu ADC w jednej linii z istniejącą infrastrukturą. W tej konfiguracji porty WAN i LAN urządzenia trzeba podłączyć do dwóch oddzielnych fizycznych sieci. Przy czym serwery muszą znajdować się w tym samym logicznym segmencie sieci co port LAN. Konfiguracja ta nie wymaga żadnej zmiany adresacji IP serwerów, a urządzenia równoważące ruch sieciowy mają wtedy skonfigurowany jedynie port zarządzający oraz wirtualne adresy IP dla puli serwerów. Jest to najprostszy model instalacji. Ostatnia metoda wdrożenia to Direct Server Return. Zapewnia ona optymalną konfigurację przepustowości. Wówczas ruch dociera na interfejs WAN na skonfigurowane wirtualne adresy IP Load Balancera i jest przekazywany do serwerów również przez port WAN. Ta konfiguracja nie wymaga zmiany adresacji IP elementów biorących udział w równoważeniu obciążenia, ale z uwagi na to, że serwery odpowiadają na zapytania bezpośrednio przez swoje interfejsy, ta metoda wdrożenia wymaga użycia na serwerach adaptera Loopback. W naszej instalacji wykorzystaliśmy metodę Route- -Path w wariancie One-armed, aby nie istniała konieczność zmiany adresacji IP serwerów. Przy pierwszym uruchomieniu ADC należy podpiąć monitor i klawiaturę bezpośrednio pod urządzenie, aby móc ustawić adres IP do zarządzania. Późniejsza konfiguracja i administracja nie wymaga instalacji żadnego dodatkowego oprogramowania i wykonywana jest jedynie za pośrednictwem interfejsu WWW. Panel webowy skonstruowany jest bardzo prosto, tak aby bez problemu można było znaleźć poszukiwane ustawienia. Ekran przeglądarki podzielony jest na kilka funkcjonalnych części. Na górze znajdują się zakładki kierujące na żądany obszar. W pełnej wersji funkcjonalnej jest ich pięć. Po kliknięciu ADC doskonale sprawdzi się w infrastrukturze, gdzie chcemy uzyskać odpowiednią wydajność oraz elastyczną konfigurację dostosowaną do aktualnych potrzeb użytkowników, dbając przy tym o najwyższy poziom bezpieczeństwa, zgodny z politykami przedsiębiorstwa. każdej z nich, poniżej ukazują się dodatkowe przyciski kierujące do bardziej zaawansowanych opcji urządzenia. Domyślna karta Podstawowe zapewnia administratorom najczęściej wykorzystywane funkcje konfiguracyjne i informacyjne dotyczące obsługiwanych serwerów. Główny ekran zawiera informacje na temat statystyk ruchu, zdarzeń systemowych, statusu aktywacji, aktualnego obciążenia urządzenia, a także wykresy bieżącego ruchu sieciowego oraz wykrytych ataków. W tym obszarze administrator może skonfigurować serwisy, które będą poddane usłudze równoważenia obciążenia, zarządzać certyfikatami zainstalowanymi na urządzeniu, które zostaną wykorzystane później do obsługi bezpiecznego ruchu sieciowego (np. SSL Offloading), a także przeglądać najważniejsze logi lub generować raporty. Kolejna zakładka Traf fic zawiera dodatkowe opcje zarządzania równoważonym ruchem sieciowym. Administrator może tutaj skonfigurować HTTP Caching dla obsługiwanych serwerów WWW, który redukuje obciążenie na końcowych serwerach poprzez unikanie powtarzających się zapytań, a także kompresję ruchu HTTP (HTTP Compression), używając GZIP, aby Networld

4 zredukować wymogi dotyczące ruchu sieciowego. Dwie kolejne warte uwagi opcje konfiguracyjne, jakie można tu znaleźć, to Web Translations oraz Global Server Load Balancing (GSLB), Opcje Web Translations pozwalają na translację adresów URL oraz modyfikacje nagłówków zapytań (HTTP Request Rewrite) lub odpowiedzi (HTTP Response Rewrite), a także podmianę łańcucha znaków w zawartości wyświetlanej strony (Response Body Rewrite). Konfiguracja ta ma na celu ukrycie wrażliwych informacji wysyłanych przez serwery fizyczne, które mogą być wykorzystane do późniejszych ataków. Natomiast GSLB Service umożliwia dystrybucję ruchu na podstawie zapytań DNS, po czym przekierowuje klientów do odpowiedniej lokalizacji serwera w zależności od przyjętych kryteriów, np. geolokalizacji lub przyjętych priorytetów witryn. Bieżące wskaźniki bezpieczeństwa i sieci Funkcje dostępne na karcie Network pozwalają na modyfikację ustawień sieciowych urządzenia, począwszy od ustawienia poszczególnych portów i przypisanych im vlanów, przez ustawienia NAT-owania i routingu, kończąc na tworzeniu reguł Network Firewalla. Opcje zapory pozwalają określić warunki dopuszczenia lub odrzucenia ruchu dla obsługiwanych serwerów na bazie adresów źródłowych, docelowych oraz protokołów, a także na podstawie ustawień geolokalizacji skonfigurowanych na liście reputacji adresów IP (IP Reputation Pools). USTAWIENIA ZAAWANSOWANE Karta Zaawansowane zawiera wszystkie funkcje administracyjne urządzenia Barracuda Load Balancer ADC. Oprócz podstawowych opcji systemu można tu znaleźć zaawansowaną konfigurację cookies, gdzie ustala się klucz szyfrowania dla ciasteczek wysyłanych przez urządzenie do przeglądarki, a także określa się dla nich własne wartości oraz parametry konieczne do obsługi równoważenia obciążenia. Tutaj też można skonfigurować wykonywanie kopii zapasowej konfiguracji, wskazując metodę wysyłania kopii (FTP, FTPS lub SMB), ustalenie harmonogramu jej wykonywania czy włączenie szyfrowania. ADC posiada daje możliwość pracy w konfiguracji High Availability (tryb active/passive). Ustawiając odpowiednie opcje konfiguracyjne i podłączając drugie analogiczne urządzenie można dodatkowo zadbać o nieprzerwaną pracę serwerów biorących udział w równoważeniu obciążenia sieciowego. Zakładka Zaawansowane pozwala również na włączenie obsługi SNMP, w celu zdalnego monitorowania parametrów systemowych urządzenia. Tutaj także można podejrzeć logi systemowe, pokazujące bieżące komunikaty dotyczące pracy systemu z możliwością ich eksportu na serwer FTP. Jako płatny dodatek można włączyć jeszcze jeden moduł dostępny na karcie Security. Dzięki wielu zintegrowanym technologiom bezpieczeństwa pozwala on na kompleksowe zabezpieczenie ruchu wychodzącego i przychodzącego. Uruchomiony system zapobiegania atakom intruzów (IPS) potrafi zabezpieczyć obsługiwaną pulę serwerów usług, nawet jeśli włamywacz przedostanie się przez istniejący w sieci inny system. Częścią IPS jest również ochrona przed atakami DDoS. Baraccuda Load Balancer ADC pozwala skonfigurować polityki zabezpieczeń w taki sposób, że wszelkie wykryte nadużycia dla skonfigurowanych protokołów są automatycznie blokowane. Moduł Security posiada wstępnie zdefiniowane polityki bezpieczeństwa dla uruchamianych i powiązanych usług (np. HTTP i HTTPS), a utworzone zasady są współdzielone, więc po utworzeniu profilu bezpieczeństwa może on być przypisany do więcej niż jednej usługi. Dla aplikacji, które obsługiwane są przez Load Balancer w ramach polityk bezpieczeństwa można ustanowić limity zapytań, zabezpieczyć pliki cookies, czy nawet same adresy URL. BEZPIECZEŃSTWO Moduł Security posiada ochronę przed niekontrolowanym wyciekiem wrażliwych danych oraz zapobiega nieuprawnionemu ujawnianiu informacji (Data Theft Protection). Dane, które chcemy zabezpieczyć mogą wymagać maskowania lub, gdy polityka zabezpieczeń będzie tego wymagała, całkowitego zablokowania. Oczywiście taką ochronę można zdefiniować globalnie, jednak w przypadku konieczności istnieje możliwość indywidualnego określenia reguł odrębnie dla każdej obsługiwanej aplikacji. ADC pozwala na skanowanie antywirusowe przy obsłudze adresów URL umożliwiających przesyłanie plików. Skaner antywirusowy wykorzystuje mechanizmy zintegrowane z Claim AV, zawierające również ochronę przed złośliwym oprogramowaniem. W ramach ogólnej ochrony podczas równoważenia obciążenia ADC normalizuje cały przechodzący ruch przed zastosowaniem jakichkolwiek reguł bezpieczeństwa. Polega 26 Networld

5 to na dekodowaniu ze standardów Unicode, UTF czy HEX na zwykły tekst, aby zapobiec ukrytym atakom przy użyciu któregokolwiek z formatów kodowania. Aby bezpieczeństwo pozostało na najwyższym poziomie, Load Balancer ADC na bieżąco aktualizuje elementy systemu oraz sygnatury nowo powstałych i znanych zagrożeń. Standardowo update odbywa się co godzinę, a gdyby zaistniała taka potrzeba, można go wykonać nawet co 5 minut. TEST Gdy już zapoznaliśmy się z wszystkimi możliwościami konfiguracyjnymi urządzenia, postanowiliśmy sprawdzić Barracuda Load Balncer ADC w rzeczywistym działaniu. Uruchomionych zostało kilka serwerów z włączonymi usługami HTTP, Remote desktop oraz FTP, po czym przystąpiliśmy do konfiguracji. Podstawowe ustawienie równoważenia obciążenia nie sprawia żadnego problemu. Wystarczy Ekran generowania raportów Przykładowy raport zdefiniować konkretną usługę (wybierając z listy zdefiniowanych lub wpisując ręcznie konfigurację) oraz przypisać do niej fizyczne serwery podając ich adresy IP. Po tej operacji należy jeszcze stworzyć dla niej wirtualny adres IP (VIP), który będzie przydzielony do obsługi ruchu dla puli serwerów. Po skończonej konfiguracji podstawowej można edytować ustawienia usługi, dzięki czemu istnieje możliwość ustawienia bardziej zaawansowanych opcji. W miarę potrzeb można wybrać metodę równoważenia obciążenia, przełączając między Weighted Round Robin i Weighted Least Connections, i dostosować wagi dla poszczególnych maszyn fizycznych. Konfiguracja pozwala również przypisać serwerowi członkowskiemu status Backup Serwer. Standardowo nie bierze on wtedy udziału w równoważeniu obciążenia, a ruch do niego zostanie dopuszczony jedynie w przypadku awarii innego serwera. Dodatkowo można również ustawić metody badania dostępności serwerów fizycznych, dzięki czemu można później sprawdzać status poprawności działania usług. Dla równoważonego HTTP i HTTPS można też przypisać istniejące lub utworzyć nowe polityki bezpieczeństwa oraz ustawić modyfikacje dla treści bądź nagłówków przesyłanych przez Load Balancer. Po sprawdzeniu poprawności działania podstawowego równoważenia obciążenia, które działało bez zarzutu, zmienialiśmy wagi dla poszczególnych serwerów, co odnosiło pożądany efekt. Bez problemów zadziałała również funkcja Response Body Rewrite, dla której utworzyliśmy regułę podmieniającą zwracany przez serwer ciąg znaków znajdujący się na serwowanej stronie WWW. Oczywiście można dowolnie manipulować serwerami fizycznymi, ustawiając wybrany jako backup serwer, a także w przypadku konieczności wykonania aktualizacji tymczasowo wyłączyć go z usługi równoważenia obciążenia. Usługa load balancingu, którą skonfigurowaliśmy, plus dodatkowo uruchomione opcje były raczej prostą konfiguracją, jednak funkcjonalność, którą udało nam się uzyskać da się ustawić z biegu bez uprzedniego zapoznania się z dokumentacją. Wystarczy odrobinę teoretycznej wiedzy na temat działania sieci oraz usługi równoważenia obciążenia sieciowego. Świadczy to przede wszystkim o prostocie instalacji i konfiguracji, a także o czytelnym i dostosowanym do użytkownika panelu zarządzania. LOGOWANIE, MONITO- RING I RAPORTOWANIE ADC pozwala na bieżące monitorowanie skonfigurowanych usług, dzięki czemu administrator ma natychmiastowy Networld

6 Logi Web Firewall wgląd w interesujące informacje lub zostanie powiadomiony em o wszelkich nieprawidłowościach w działaniu systemu. Na żądanie można wygenerować różnego rodzaju raporty dotyczące interesujących wskaźników w zestawieniach TOP w podziale na zabezpieczenia, ruch sieciowy czy konfiguracje systemowe. Na bieżąco raporty generowane są w postaci HTML, PDF lub zwykłego tekstu, ale można również skonfigurować harmonogramy raportów, które będą wysyłane em na wskazany adres. PODSUMOWANIE Mimo że ADC jest urządzeniem dość prostym w konfiguracji i zarządzaniu, liczba dostępnych opcji sprawia, że trzeba poświęcić trochę czasu na zapoznanie się ze wszystkimi funkcjami. Jeśli jednak użytkownik już wie, jaką chce uzyskać konfigurację, może dostosować równoważenie obciążenia do swoich indywidualnych potrzeb, zabezpieczając ruch sieciowy na najwyższym poziomie. Urządzenie to doskonale sprawdzi się w infrastrukturze, gdzie chcemy uzyskać odpowiednią wydajność oraz elastyczną konfigurację dostosowaną do aktualnych potrzeb użytkowników, dbając przy tym o najwyższy poziom bezpieczeństwa zgodnego z politykami przedsiębiorstwa. Testowany model Barracuda Load Balancer ADC 640 to wydatek rzędu euro. Do tego trzeba doliczyć roczną subskrypcję obowiązkowego serwisu Energize Updates (EU) 1899 euro, który zapewnia codzienne aktualizacje i gwarancję w przypadku uszkodzenia urządzenia, oraz ewentualny roczny Rozszerzony Serwis Instant Replacement (IR) obejmujący wsparcie 24/7 i przyspieszoną wymianę urządzenia w przypadku awarii, za cenę 2399 euro. Po czterech latach korzystania z serwisów EU oraz IR producent zobowiązuje się wymienić urządzenie na nowe. Moduł Application Security, zapewniający dodatkową ochronę przed utratą danych, atakami DDoS i wszystkimi znanymi zagrożeniami opartymi na wrażliwych punktach warstwy aplikacji, który jest dodatkiem jedynie dla modeli 640 i 840, jest wydatkiem rzędu 4299 euro. Poniesione koszty nie należą do najniższych, jednak inwestycja w odporne na awarie oraz kompleksowo zabezpieczone środowisko usług powinna się z pewnością zwrócić. apple Struktura ADC Barracuda Energize Updates Security Updates IPS Database INTERNET IPS Monitoring usługi Wysoka dostępność (H/A) Load Balancer Logic Algorithm Serwery 28 Networld